Jak powstają i są weryfikowane reguły Scanary

Jak Scanara ocenia dokumentację za pomocą OPA i Rego

Kontrole zgodności Scanary na poziomie dokumentów działają na Open Policy Agent (OPA). OPA ocenia dokumentację techniczną pod kątem obowiązków wynikających z rozporządzenia (UE) 2024/1689. To podejście jest zgodne z policy-as-code stosowanym w całym ekosystemie OPA: reguły deklaratywne, ocena deterministyczna, wynik możliwy do zweryfikowania za każdym razem. Odbywa się to równolegle ze skanowaniem kodu źródłowego Scanary. Skanowanie kodu sprawdza, co robi kod. OPA sprawdza, co mówi dokumentacja.

Każdy plik dokumentacji przechodzi te same etapy. Najpierw Scanara go parsuje i wykrywa jego język (obsługiwanych jest 8 języków UE). Następnie normalizuje plik do ustrukturyzowanego dokumentu wejściowego: sekcje, nagłówki, wyodrębniony tekst. OPA ocenia ten ustrukturyzowany dokument względem skompilowanego pakietu polityk Rego.

Scanara generuje te reguły na podstawie kanonicznego mapowania między tekstem artykułów rozporządzenia (UE) 2024/1689 a wymaganiami możliwymi do zweryfikowania maszynowo. Żadna reguła nie jest pisana ręcznie dla pojedynczego repozytorium. Każda reguła daje się prześledzić do konkretnego artykułu, ustępu i punktu. Ocena generuje jeden wynik dla każdego obowiązku: spełniony, brakujący lub częściowy. Te wyniki trafiają do raportu zgodności razem z wynikami dotyczącymi kodu źródłowego.

Poniższy przykład pokazuje ten wzorzec. Jest uproszczony na potrzeby publicznej dokumentacji. Produkcyjny zestaw reguł obejmuje dziesiątki kategorii obowiązków, a także wykrywanie wielojęzyczne, ważenie istotności i kontrole spójności między dokumentami, których tu nie pokazano.

package eu_ai_act.example.article_11

# Illustrative pattern only — simplified for public documentation.
# Scanara's production ruleset covers dozens of obligation categories with
# multi-language detection, severity weighting, and cross-document
# consistency checks not shown here.

default satisfied := false

# A document satisfies this (illustrative) Article 11 check when its parsed
# sections include the required topic, with non-empty content.
satisfied if {
	some section in input.document.sections
	section.topic == "risk_management_process"
	count(trim_space(section.content)) > 0
}

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "satisfied",
} if satisfied

finding := {
	"article": "11",
	"obligation": "technical_documentation.risk_management_process",
	"status": "missing",
	"severity": "high",
} if not satisfied

Razem oba silniki automatycznie wykrywają 66 artykułów rozporządzenia (UE) 2024/1689: 44 wykrywalne w kodzie i 22 na poziomie dokumentów za pomocą OPA. Pokrycie obejmuje wszystkie 8 języków UE. Wyniki z obu silników trafiają bezpośrednio do wygenerowanego dossier zgodności. Ścieżka dowodowa prowadzi do rzeczywistego wyniku skanowania, a nie do samodzielnie zadeklarowanej listy kontrolnej.